Come posso sapere quale utente ha eliminato una directory?

Il mio server Ubuntu ha circa 30 utenti attivi. Conosco personalmente tutti coloro che usano il server. Di recente, alcuni amici e io stavamo lavorando al progetto. Abbiamo creato una nuova directory per il progetto e poiché tutti conoscono tutti, non ci siamo preoccupati di proteggere il nostro lavoro con un sacco di autorizzazioni. Avremmo dovuto, perché ci siamo svegliati questa mattina per scoprire che qualcuno ha rimosso l'intera directory.

Il nostro lavoro viene eseguito il backup ogni notte, quindi non è davvero un grosso problema ripristinare il nostro lavoro. Tuttavia, vorremmo scoprire chi l'ha rimosso in modo da poterli confrontare. Finora la cosa migliore che abbiamo escogitato per trovare il nostro colpevole è controllare la storia di bash di tutti, ma questo è lungo e noioso e ci sono possibilità che se ci fosse un intento malizioso dietro la rimozione della directory che il nostro colpevole probabilmente ha modificato il loro per coprire le loro tracce (o ovviamente potrebbero usare una shell diversa).

Quindi, in sostanza, qual è il modo più semplice e veloce per scoprire chi ha cancellato una directory?

Grazie in anticipo per il tuo tempo.

Non ho trovato una pallottola magica in risposta alla tua domanda; parte di questo motivo è dettagliata qui: /superuser/178596/checking-user-command-history-in-unix

Questo semplice comando può aiutarti a rintracciare ciò che è accaduto, cercando i comandi rm e mv in tutti i file della cronologia della shell in tutte le home directory degli utenti:

find /home -type f -iname .*history -exec grep "rm\|mv" {} \;

È bello avere un backup valido per salvarti, ma consiglio vivamente di creare alcuni gruppi per le cartelle di progetto e di aggiungere semplicemente account utente a tali gruppi; che ti farà risparmiare molto dolore in futuro.

Esempio: aggiungere un gruppo e aggiungere i membri del team di progetto

groupadd coolproject
adduser jim coolproject
adduser joe coolproject
adduser charlie coolproject

impostare le autorizzazioni in modo corretto in modo ricorsivo e garantire l'accesso in futuro per il team indipendentemente da chi crea / modifica i file

chown -R yourusername:coolproject /path/to/projectdir
find /path/to/projectdir -type d -exec chmod 2775 {} \;

(il 2 imposta la proprietà del gruppo su "appiccicosa", questo assicura che il proprietario del gruppo di qualsiasi progetto rimanga "coolproject")

find /path/to/projectdir -type f -exec chmod 664 {} \;

Spero che ti aiuti! B-)

In teoria è possibile scoprire il tempo di eliminazione, quindi questo può restringere gli utenti.

Controlla le i_dtime specifiche in ext2 .